GB28181-2016 模拟环境搭建：Wireshark 抓包分析 3 类 SIP 信令与媒体流-平芜编程栈

GB28181-2016 协议深度解析：Wireshark抓包实战与SIP信令剖析

在视频监控领域，GB28181协议作为我国自主制定的国家标准，已经成为安防行业设备互联互通的重要基石。但对于开发者而言，仅仅搭建起模拟环境远远不够——真正理解协议内部的交互机制，才能在实际项目中快速定位问题、优化系统性能。本文将带您深入GB28181-2016协议的底层通信细节，通过Wireshark这一网络分析利器，逐层拆解三类核心SIP信令与媒体流的交互过程。

1. 环境准备与抓包配置

搭建GB28181测试环境只是第一步，更重要的是配置正确的抓包环境。不同于普通网络抓包，国标协议的分析需要特殊设置：

网络接口选择：如果测试设备与服务器位于同一主机，必须启用回环网络捕获。在Windows平台，需要安装Npcap的"Loopback Adapter"功能：

# 安装Npcap时勾选"Install Npcap in WinPcap API-compatible Mode" npcap-1.70.exe /loopback_support=yes

关键过滤条件：GB28181使用SIP over UDP/TCP作为信令协议，RTP over UDP传输媒体流。基础过滤语法应包含：

sip || rtp || udp.port==5060 || tcp.port==5060 || udp.portrange==30000-30500

表：GB28181抓包关键端口说明

协议类型	默认端口	说明
SIP信令	5060	设备注册、控制信令通道
RTP媒体	30000-30500	视频流传输动态端口范围
RTCP反馈	30000-30500	媒体质量控制通道

提示：实际环境中媒体端口可能动态分配，建议先通过SIP信令中的SDP报文确定具体端口

时间同步设置：在Wireshark的"View"→"Time Display Format"中选择"Seconds Since Previous Displayed Packet"，便于分析信令交互时序。

2. SIP注册信令全流程解析

设备上线第一步是向SIP服务器注册身份，这个过程看似简单却包含多个关键阶段：

2.1 REGISTER请求拆解

典型注册请求如下所示，注意关键字段：

REGISTER sip:4401020049@192.168.1.100 SIP/2.0 Via: SIP/2.0/UDP 192.168.1.101:5060;branch=z9hG4bK123456 From: <sip:34020000001110000001@4401020049>;tag=789abc To: <sip:34020000001110000001@4401020049> Call-ID: 123456789@192.168.1.101 CSeq: 1 REGISTER Contact: <sip:34020000001110000001@192.168.1.101:5060> Max-Forwards: 70 Expires: 3600 Content-Length: 0

关键字段说明：

branch参数：必须符合RFC3261规范，以z9hG4bK开头
From/To：包含20位设备ID和域编号
Expires：注册有效期（秒），超时需重新注册

2.2 认证挑战过程

服务器返回401响应要求鉴权时，会携带WWW-Authenticate头：

SIP/2.0 401 Unauthorized WWW-Authenticate: Digest realm="4401020049", nonce="5df7d9a5", algorithm=MD5

设备随后发送带Authorization头的REGISTER：

Authorization: Digest username="34020000001110000001", realm="4401020049", nonce="5df7d9a5", uri="sip:4401020049@192.168.1.100", response="a1b2c3d4e5f6", algorithm=MD5

安全建议：生产环境应使用更安全的算法如SHA-256，MD5存在碰撞风险

2.3 注册成功响应

成功注册后服务器返回200 OK，并确认超时时间：

SIP/2.0 200 OK Expires: 1800 Contact: <sip:34020000001110000001@192.168.1.101:5060>;expires=1800

3. 心跳保活机制分析

GB28181要求设备定期发送MESSAGE心跳维持会话，这是系统稳定性的关键：

3.1 标准心跳交互

MESSAGE sip:4401020049@192.168.1.100 SIP/2.0 Via: SIP/2.0/UDP 192.168.1.101:5060;branch=z9hG4bK234567 From: <sip:34020000001110000001@4401020049>;tag=789abc To: <sip:4401020049@192.168.1.100> Call-ID: 123456789@192.168.1.101 CSeq: 20 MESSAGE Content-Type: Application/MANSCDP+xml Content-Length: 123 <?xml version="1.0"?> <Notify> <CmdType>Keepalive</CmdType> <SN>123</SN> <DeviceID>34020000001110000001</DeviceID> <Status>OK</Status> </Notify>

服务器应返回200 OK响应。心跳间隔通常在配置文件中定义，默认为30秒。

3.2 异常场景模拟

通过Wireshark可以模拟分析各种异常情况：

心跳超时：连续丢弃3个心跳包后，观察服务器是否发起注销
网络抖动：修改包时间戳模拟延迟，测试重传机制
服务器重启：中断服务后恢复，验证设备重注册流程

调试技巧：在过滤框输入sip.CSeq.method == "MESSAGE"可快速定位所有心跳包

4. 媒体流点播过程解码

视频点播是GB28181最复杂的交互过程，涉及信令协商和媒体传输两个阶段：

4.1 INVITE信令交互

平台发起点播请求示例：

INVITE sip:34020000001110000001@4401020049 SIP/2.0 Via: SIP/2.0/UDP 192.168.1.100:5060;branch=z9hG4bK345678 From: <sip:4401020049@192.168.1.100>;tag=123456 To: <sip:34020000001110000001@4401020049> Call-ID: abcdef@192.168.1.100 CSeq: 1 INVITE Subject: 34020000001110000001:0,4401020049:0 Contact: <sip:4401020049@192.168.1.100:5060> Content-Type: Application/SDP Content-Length: 200 v=0 o=4401020049 0 0 IN IP4 192.168.1.100 s=Play c=IN IP4 192.168.1.100 t=0 0 m=video 30000 RTP/AVP 96 a=recvonly a=rtpmap:96 PS/90000 y=0100001234

关键参数说明：

Subject字段：格式为发送者ID:SSRC,接收者ID:SSRC
y字段：SSRC的GB扩展表示，首字符0表示实时流
媒体端口：示例中为30000

4.2 媒体流传输分析

成功建立会话后，设备开始发送RTP封装的PS流。在Wireshark中：

右键RTP包→"Decode As..."→选择RTP
分析"RTP Streams"可看到SSRC、丢包率等统计信息
导出PS流：File→Export Objects→RTP→Save All

PS流关键结构：

00 00 01 BA // PS头开始 00 00 01 E0 // 视频PES包 00 00 01 C0 // 音频PES包

4.3 BYE终止会话

点播结束时的信令交互：

BYE sip:34020000001110000001@4401020049 SIP/2.0 Via: SIP/2.0/UDP 192.168.1.100:5060;branch=z9hG4bK456789 From: <sip:4401020049@192.168.1.100>;tag=123456 To: <sip:34020000001110000001@4401020049>;tag=789abc Call-ID: abcdef@192.168.1.100 CSeq: 3 BYE Max-Forwards: 70 Content-Length: 0